der 7966 gezählten Schwachstellen aus 2024 steckten in Plugins; 4 Prozent in Themes, sieben im Core
Quelle: Patchstack, State of WordPress Security 2025, Datenbasis 2024
Whitepaper · für IT, Einkauf und Compliance
Alle sagen, WordPress sei unsicher. Nur belegt es niemand.
7966 Schwachstellen wurden 2024 im WordPress-Ökosystem gezählt. 96 Prozent davon steckten in Plugins, sieben im Core. Dieses Whitepaper legt die Zahlen mit Quelle und Jahr offen, dazu den Härtungsrahmen und die Checkliste, die ihr ins nächste Security-Review mitnehmt.
13 Seiten5 Abbildungen17-Punkte-ChecklisteQuellen offengelegtFür Security, IT und Compliance geschriebenJede Zahl trägt Quelle und JahrSofort als PDF, kein Verkaufsgespräch
- 13 Seiten
- Vendor-Review-tauglich
- DSGVO und DACH-Kontext
- Behauptung gegen Beleg
- 96 % in Plugins
- 7 im Core
- 17 Punkte zum Abhaken
Die Datenlage
Vier Zahlen, die aus dem Bauchgefühl ein Gespräch machen
Jeder Wert steht im Whitepaper mit Quelle und Erhebungsjahr, und die Interessenlage der Quellen ist dort offengelegt.
liegen im Median zwischen der Veröffentlichung einer Schwachstelle und ihrer ersten Ausnutzung
Quelle: Patchstack 2026. Von den 2025er Lücken hatten 46 Prozent bei Offenlegung noch keinen Patch
der Basic Web Application Attacks laufen über gestohlene Zugangsdaten
Quelle: Verizon Data Breach Investigations Report, im Whitepaper zitiert
der WordPress-spezifischen Exploits fingen generische Web Application Firewalls im Mittel ab
Quelle: Patchstack-Pentests 2026
Transparenz: Die zitierten Daten stammen überwiegend von Anbietern, die mit WordPress-Schutz Geld verdienen. Das Whitepaper weist diese Interessenlage in einem eigenen Abschnitt aus. Die Sucuri-Werte stammen aus 2023, der Hauptdatensatz von Patchstack aus 2024. Und Referenzen wie whitehouse.gov oder NASA sind öffentlich dokumentierte WordPress-Installationen, keine Kunden von Lilox.
Was drin ist
Was ihr direkt ins Vendor-Review mitnehmt
Drei Bausteine machen aus dem Whitepaper ein Arbeitsdokument.
Checklistenpunkte
Vier Blöcke, brauchbar als Abnahmegrundlage und als wiederkehrender Governance-Check.
Schutzschichten
Defense in Depth, von der Hosting-Ebene bis hinauf zum Monitoring.
Stufen zum Start
Erst das Fundament vor dem Launch, dann Zugang und Resilienz in Woche eins, dann Governance.
Schwellenwert-Regel
Ein Plugin ohne Update seit zwölf Monaten oder mit offener High-Lücke wird ersetzt.
Der Einwand im Meeting
Der eine Satz, an dem gute Projekte scheitern
Die Sicherheitsfrage kommt selten mit Daten. Sie kommt als Bauchgefühl, und sie blockiert die Entscheidung trotzdem.
01
Angriffsvolumen wird mit Codequalität verwechselt: aus «oft angegriffen» wird «unsicher».
02
Das eigentliche Risiko heisst ungepflegte Plugins, aufgeschobene Updates und billiges Shared Hosting.
03
Vendor-Reviews ziehen sich über Wochen, weil niemand prüfbare Nachweise liefert.
Inhalt
Fünf Kapitel, dazu Handlungsempfehlung und Checkliste
Geschrieben für Leute, die das Ergebnis intern vertreten müssen.
01
Auf einen Blick
Die Kernaussage in drei Sätzen fürs Meeting
02
Ruf gegen Realität
Wie sich die Schwachstellen auf Plugins, Themes und Core verteilen
03
Die häufigsten Angriffsvektoren
Welche Lücken tatsächlich ausgenutzt werden
04
Wie sich diese Risiken vermeiden lassen
Sieben Schutzschichten und die Massnahmen darunter
05
Compliance und Governance im DACH-Kontext
Was an Zertifikaten und DSGVO-Massnahmen ins Review gehört
06
Fairer Vergleich mit Custom-Code
Beide Seiten nebeneinander, ohne Schönfärberei
07
Handlungsempfehlung in drei Stufen
Vor dem Launch, in Woche eins, im laufenden Betrieb
08
Sicherheits-Checkliste
17 prüfbare Punkte, verteilt auf vier Blöcke
Download
Whitepaper als PDF anfordern
Eintragen, und die 13 Seiten kommen per E-Mail, samt Checkliste und Quellenverzeichnis.
WordPress-Sicherheit: Behauptung gegen Beleg
13 Seiten auf Deutsch, mit fünf Abbildungen, zwei Tabellen und einer Checkliste, die ihr direkt an eure IT weiterreichen könnt.
- Wo die Schwachstellen sitzen, mit Quelle und Jahr
- Siebenstufiger Härtungsrahmen
- Compliance-Abschnitt für DSGVO und DACH
- 17-Punkte-Checkliste zum Abhaken
5 von 5
Kompetent, freundlich, engagiert und redet einem nicht nach dem Mund. Beratung auf Augenhöhe, ohne bla bla und immer fokussiert.
Prof. (FH) Dr. Uwe HeilDr. Heil KG Consulting & Coaching5 von 5
Nadine hat sich viel Zeit genommen, um meine Wünsche und Vorstellungen zu verstehen. Besonders geschätzt habe ich Nadines Zuverlässigkeit, ihre Offenheit für Feedback sowie ihre Fähigkeit, Design und Funktionalität zu vereinen.
Fabian OlbrechtGeschäftsführer, AnimatedReal GmbH5 von 5
Als vollkommener Laie im Bereich Marketing war und ist die Zusammenarbeit mit Nadine Fraiss und Lilox nicht nur äußerst professionell, sondern auch unglaublich sympathisch und einfühlend. Marketing-Anfänger sind jedenfalls in extrem guten Händen.
Alex SchubertGeschäftsführer, netwiss OGErfolgsstories
Wie wir Websites im Betrieb halten
Zwei Projekte, bei denen Relaunch und Betrieb zusammen gedacht wurden. Beide Unternehmen stehen hier mit Namen, freigegeben von ihnen selbst; ihre Ergebniszahlen stehen ausführlich in den Success Stories.
Pydro · IoT-Hardware aus Deutschland, Startup
Digitalen Vertrieb von null aufgebaut
Relaunch der Website, Automation auf LinkedIn, ein Leadmagnet samt E-Mail-Strecke, Automatisierungen im CRM und Google Ads für zwei Auslandsmärkte.
suXess-IT · IT-Beratung und Plattform-Engineering, Österreich
LinkedIn-Kanal aufgebaut, Zielfirmen sortiert
LinkedIn-Strategie mit Postings, Anschreiben und Automations-Sequenzen, dazu Zielfirmenlisten, SEO an der Website und ein Toolkit für Konferenzen.
Ergebnis
Was ihr nach dem Lesen anders macht
Die Diskussion auf den Betrieb lenken
Die Plattform ist selten das Problem. Entschieden wird es an Update-Disziplin, Rechtevergabe und Hosting-Qualität. Genau daran lässt sich auch ein Anbieter messen.
Den Zugang schon in Woche eins absichern
Zwei-Faktor-Authentifizierung an jedem Konto mit Schreibrechten, Rollen nach dem Prinzip der geringsten Rechte, begrenzte Anmeldeversuche und ein Backup, dessen Rückweg einmal getestet wurde. In dieselbe Woche gehört die Antwort darauf, wo die Daten liegen.
Euch nicht auf die Firewall allein verlassen
In den Pentests fingen generische Firewalls im Mittel 12 bis 26 Prozent der WordPress-spezifischen Exploits ab. Virtual Patching, das WordPress kennt, gehört dazu.
Wer dahintersteht
Nadine und Christoph
Hat eure IT oder euer externer Security-Officer Rückfragen zum Whitepaper, beantworten wir sie direkt und ohne Umweg über einen Vertrieb.
Nadine Fraiss, MA
Geschäftsführende Gesellschafterin
Fünfzehn Jahre digitales Marketing, rund zehn davon ausschliesslich im B2B. Head of Marketing bei der Hypo Tirol Bank, E-Commerce bei Hartlauer, digitaler Vertrieb bei Egger, danach Head of Marketing bei Bots & People und bei One Hiring.
Ich baue mit meinem Team euren digitalen Vertrieb auf, auf Augenhöhe, in Klartext, mit Zahlen, die man vorzeigen kann.
Ing. Christoph Fraiss, MBA, MSc
Gesellschafter
Maschinenbau- und Wirtschaftsingenieur mit internationalem MBA. Fünfzehn Jahre Industrie, als Projektleiter für Grossprojekte, als Head of Engineering und als Werksleiter, unter anderem bei Thermo Fisher, Novartis und Aenova.
Wir wissen, was auf dem Schreibtisch eines Budgetverantwortlichen sofort durchfällt, weil wir 15 Jahre auf dieser Seite des Tisches sassen.
Häufige Fragen
Was im Vendor-Review regelmässig gefragt wird
Ist WordPress sicher genug für ein Schweizer KMU?
Bei professionellem Betrieb ja. Von 7966 Schwachstellen aus 2024 steckten 96 Prozent in Plugins, 4 Prozent in Themes und sieben im Core. Entscheidend sind Managed Hosting, Update-Disziplin, Zwei-Faktor-Authentifizierung und Monitoring. Also der Betrieb, nicht die Plattform.
Warum liest man ständig, dass WordPress gehackt wird?
Weil WordPress auf rund 41 Prozent aller Websites läuft und damit die grösste einzelne Angriffsfläche im Web stellt. Angreifer automatisieren gegen die grösste Installationsbasis, weil sich das rechnet. Das ist Ökonomie und sagt wenig über die Codequalität aus.
Ist eine selbst programmierte Website sicherer als WordPress?
Nicht automatisch. Custom-Code hat die kleinere Angriffsfläche und keine öffentliche Exploit-Datenbank, ist dafür meist ungeprüft, ohne Community-Review und ohne automatische Sicherheits-Patches. Dazu kommt ein Personenrisiko: Wer den Code kennt, ist irgendwann nicht mehr da.
Lässt sich WordPress nach revDSG und DSGVO betreiben?
Ja, auf zwei Ebenen. Die Infrastruktur braucht Verschlüsselung, Zugriffskontrollen, einen festgelegten Datenstandort und einen Auftragsverarbeitungsvertrag. Die Anwendung braucht Consent-Management, Skript-Blocking, Datenschutzerklärung und einen Prozess für Betroffenenrechte. Das Whitepaper führt diese Punkte für die DSGVO aus; für die Schweiz kommt das revidierte DSG dazu, und in Vendor-Reviews steht die Frage nach dem Datenstandort meist ganz vorn.
Reicht eine Web Application Firewall als Schutz aus?
Nein. In den Pentests von 2026 fingen generische Firewalls im Mittel 12 bis 26 Prozent der WordPress-spezifischen Exploits ab. Weil zwischen Veröffentlichung und erster Ausnutzung im Median fünf Stunden liegen, gehört Virtual Patching dazu, das WordPress tatsächlich kennt.
Sollen wir eure Website gegen die 17 Punkte prüfen?
Wir gehen die Checkliste an eurer bestehenden Website durch, und ihr bekommt das Ergebnis schriftlich.
Kostenloses Strategiegespräch
- 30 Minuten, unverbindlich
- Die 17 Punkte an eurer eigenen Site
- Das Ergebnis schriftlich fürs Review
- Direkt mit Nadine oder Christoph
